Google расширила свою программу вознаграждений за обнаружение уязвимостей в облаке (Cloud Vulnerability Reward Program, VRP), добавив новую награду высшего уровня за серьёзные архитектурные уязвимости.
Начиная с этого месяца исследователи могут заработать 250 000 долларов за обнаружение уязвимостей Root-in-Cloud, в том числе обхода изоляции арендаторов и сложных межсервисных логических ошибок, которые позволяют злоумышленникам получить полный административный контроль над любыми организациями в Google Cloud.
«Чтобы получить это главное вознаграждение, вы должны продемонстрировать полный административный контроль, эквивалентный «ролям / владельцу» или полному контролю IAM, над произвольными организациями или проектами Google Cloud без предварительного доступа или специальной настройки проекта», — сказал Крис Бетц, директор по информационной безопасности Google Cloud (CISO).
«Кроме того, действительные отчеты об уязвимостях, демонстрирующие удаленное выполнение кода (RCE) в базовой производственной инфраструктуре Google (Borg) или получение root-доступа в prod, будут автоматически оцениваться панелью Google Cloud VRP на предмет соответствия требованиям root-доступа в облаке».
Однако, чтобы претендовать на это вознаграждение, эксплойты не могут зависеть от предварительного доступа к проекту жертвы, скомпрометированных учетных данных, социальной инженерии или взаимодействия с пользователем.
Кроме того, исследователи в области безопасности, которым удалось получить доступ к производственной инфраструктуре Google, должны прекратить попытки взлома, поскольку повышение привилегий, получение производственных учетных данных или горизонтальное перемещение не допускаются и влекут за собой дисквалификацию.
«Высокие стимулы требуют четких и безопасных правил взаимодействия. Мы не хотим, чтобы исследователи тестировали эксплойты на реальных клиентских проектах», — добавил руководитель Cloud VRP Майкл Кот.
«Вместо этого мы создали детерминированный механизм доказательства корневого доступа с использованием специальной учетной записи службы. Исследователи могут криптографически подтвердить факт несанкционированного доступа к этой учетной записи».
Более подробную информацию о Google Cloud VRP, включая спецификации конечных точек, полезные данные в формате JSON и примеры интерфейса командной строки, можно найти на странице правил.
Это произошло после того, как в октябре компания Google приостановила прием заявок на участие в программе вознаграждения за обнаружение уязвимостей в программном обеспечении с открытым исходным кодом (Open Source Software Vulnerability Rewards Program, OSS VRP) из-за большого количества отчетов, сгенерированных искусственным интеллектом.
С момента запуска первой программы вознаграждения за обнаружение уязвимостей в 2010 году компания Google выплатила тысячам исследователей в области безопасности по всему миру более 81,6 миллиона долларов.
В 2025 году Google выплатила рекордную сумму в 17,1 миллиона долларов более чем 700 исследователям в области кибербезопасности, что на 40% больше, чем в 2024 году, когда компания выплатила в общей сложности 12 миллионов долларов.
